VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), kişisel veri işleyen gerçek ve tüzel kişilerin kayıt olduğu, Kişisel Verileri Koruma Kurumu tarafından tutulan kamuya açık bir sicildir. KVKK, kişisel verileri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce bu sicile kayıt olmasını öngörür. Ancak Kurul, objektif kriterler belirleyerek bazı veri sorumlularını bu yükümlülükten istisna tutmuştur.
Kimler kayıt yükümlüsüdür?
Kişisel Verileri Koruma Kurulu’nun güncel kararlarına göre aşağıdaki veri sorumluları VERBİS’e kayıt olmak zorundadır:
- Yıllık çalışan sayısı 50’den fazla olan gerçek veya tüzel kişi veri sorumluları,
- Yıllık mali bilanço toplamı 100 milyon Türk lirasından fazla olan gerçek veya tüzel kişi veri sorumluları,
- Çalışan sayısı ve bilanço büyüklüğünden bağımsız olarak, ana faaliyet konusu özel nitelikli kişisel veri işlemek olan veri sorumluları,
- Yurt dışında yerleşik veri sorumluları (Türkiye’deki kişilerin verilerini işliyorlarsa).
İstisnalar
Aşağıdaki veri sorumluları, Kurul kararlarıyla kayıt yükümlülüğünden istisna tutulmuştur:
- Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları,
- Kişisel verileri yalnızca otomatik olmayan yollarla, bir veri kayıt sisteminin parçası olarak işleyenler,
- Noterler,
- Dernekler, vakıflar ve sendikalar (yalnızca kendi üyeleri ve bağışçıları bakımından, ilgili mevzuata uygun ve amaçlarıyla sınırlı olmak kaydıyla),
- Siyasi partiler,
- Avukatlar,
- Gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirleri,
- Arabulucular,
- Serbest muhasebeci mali müşavirler ve yeminli mali müşavirler,
- Kurul kararlarında sayılan diğer veri sorumluları.
Önemli: VERBİS kayıt yükümlülüğünden muaf olmak, KVKK’nın diğer yükümlülüklerinden muaf olmak anlamına gelmez. Aydınlatma, veri güvenliği, ilgili kişi başvurularının yanıtlanması ve veri ihlali bildirimi gibi yükümlülükler tüm veri sorumluları için geçerlidir.
Özel nitelikli kişisel veri ne demektir?
KVKK’ya göre özel nitelikli kişisel veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.
Örneğin bir klinik, hastane, laboratuvar veya diyetisyen, çalışan sayısı az olsa bile ana faaliyet konusu sağlık verisi işlemek olduğundan VERBİS’e kayıt olmak zorundadır.
Kayıt süreci
VERBİS kaydı, Kurumun internet sitesi üzerinden yapılır:
- İrtibat kişisinin belirlenmesi: Türkiye’de yerleşik veri sorumluları için bir irtibat kişisi atanır. Yurt dışında yerleşik veri sorumluları için ise Türkiye’de bir veri sorumlusu temsilcisi atanması gerekir.
- Sisteme giriş: Tüzel kişiler için yetkili kişiler e-Devlet veya e-imza ile giriş yapar.
- Bilgilerin girilmesi: Veri işleme envanterine dayanılarak işleme amaçları, veri kategorileri, veri konusu kişi grupları, alıcı grupları, yurt dışına aktarım bilgileri, saklama süreleri ve güvenlik tedbirleri sisteme girilir.
VERBİS’e girilecek bilgilerin, işletmenin gerçek veri işleme faaliyetlerini yansıtması gerekir. Bu nedenle kayıttan önce KVKK uyum süreci kapsamında veri envanterinin hazırlanmış olması önerilir.
Kayıt süresi
Kayıt yükümlülüğü sonradan doğan veri sorumluları (örneğin çalışan sayısı 50’yi aşan veya bilanço büyüklüğü sınırı geçen işletmeler), bu durumun ortaya çıkmasından itibaren Kurul kararlarında belirlenen süre içinde VERBİS’e kayıt olmalıdır.
Güncelleme yükümlülüğü
Sicile kayıtlı bilgilerde bir değişiklik olması hâlinde, değişikliğin yedi gün içinde VERBİS’e işlenmesi gerekir. Örneğin yeni bir işleme amacı eklenmesi, yeni bir yurt dışı aktarımı başlatılması veya irtibat kişisinin değişmesi güncelleme yükümlülüğü doğurur.
Kayıt yükümlülüğüne aykırılık
VERBİS’e kayıt ve bildirim yükümlülüğüne aykırı davranan veri sorumlularına idari para cezası uygulanır. Bu ceza tutarları her yıl yeniden değerleme oranında güncellenmektedir.
VERBİS, işletmenin veri işleme faaliyetlerinin kamuya açık bir özetidir. Gerçeği yansıtmayan veya güncellenmeyen kayıtlar, olası bir denetimde işletmenin aleyhine değerlendirilebilir.